SEGURIDAD EN UNIX Y REDES

132CAPÍTULO 8. AUTENTICACIÓN DE USUARIOShace que los autenticadores basados en la geometría de la mano sean los más extendidos dentrode los biométricos a pesar de que su tasa de falsa aceptación se podría considerar inaceptable enalgunas situaciones: no es normal, pero sí posible, que dos personas tengan la mano lo suficientementeparecida como para que el sistema las confunda. Para minimizar este problema se recurrea la identificación basada en la geometría de uno o dos dedos, que además puede usar dispositivoslectores más baratos y proporciona incluso más rapidez.8.5 Autenticación de usuarios en Unix8.5.1 Autenticación clásicaEn un sistema Unix habitual cada usuario posee un nombre de entrada al sistema o login y unaclave o password; ambos datos se almacenan generalmente en el fichero /etc/passwd. Este archivocontiene una línea por usuario (aunque hay entradas que no corresponden a usuarios reales, comoveremos a continuación) donde se indica la información necesaria para que los usuarios puedanconectar al sistema y trabajar en él, separando los diferentes campos mediante ‘:’. Por ejemplo,podemos encontrar entradas parecidas a la siguiente:toni:LEgPN8jqSCHCg:1000:100:Antonio Villalon,,,:/export/home/toni:/bin/shEn primer lugar aparecen el login del usuario y su clave cifrada; a continuación tenemos dos númerosque serán el identificador de usuario y el de grupo respectivamente. El quinto campo, denominadogecos es simplemente información administrativa sobre la identidad real del usuario, como su nombre,teléfono o número de despacho. Finalmente, los dos últimos campos corresponden al directoriodel usuario (su $HOME inicial) y al shell que le ha sido asignado.Al contrario de lo que mucha gente cree, Unix no es capaz de distinguir a sus usuarios por sunombre de entrada al sistema. Para el sistema operativo lo que realmente distingue a una personade otra (o al menos a un usuario de otro) es el UID del usuario en cuestión; el login es algo quese utiliza principalmente para comodidad de las personas (obviamente es más fácil acordarse de unnombre de entrada como toni que de un UID como 2643, sobre todo si se tienen cuentas en variasmáquinas, cada una con un UID diferente). Por tanto, si en /etc/passwd existen dos entradas conun mismo UID, para Unix se tratará del mismo usuario, aunque tengan un login y un passworddiferente: así, si dos usuarios tienen asignado el UID 0, ambos tendrán privilegios de superusuario,sin importar el login que utilicen. Esto es especialmente aprovechado por atacantes que hanconseguido privilegios de administrador en una máquina: pueden añadir una línea a /etc/passwdmezclada entre todas las demás, con un nombre de usuario normal pero con el UID 0; así garantizansu entrada al sistema como administradores en caso de ser descubiertos, por ejemplo para borrarhuellas. Como a simple vista puede resultar difícil localizar la línea insertada, especialmente ensistemas con un gran número de usuarios, para detectar las cuentas con privilegios en la máquinapodemos utilizar la siguiente orden:anita:~# cat /etc/passwd|awk -F: ’$3==0 {print $1}’rootanita:~#En el fichero de claves van a existir entradas que no corresponden a usuarios reales, sino que sonutilizadas por ciertos programas o se trata de cuentas mantenidas por motivos de compatibilidadcon otros sistemas; típicos ejemplos de este tipo de entradas son lp, uucp o postmaster. Estascuentas han de estar bloqueadas en la mayoría de casos, para evitar que alguien pueda utilizarlaspara acceder a nuestro sistema: sólo han de ser accesibles para el root mediante la orden su.Aunque en su mayoría cumplen esta condición, en algunos sistemas estas cuentas tienen claves pordefecto o, peor, no tienen claves, lo que las convierte en una puerta completamente abierta a losintrusos; es conveniente que, una vez instalado el sistema operativo, y antes de poner a trabajarla máquina, comprobemos que están bloqueadas, o en su defecto que tienen claves no triviales.